説明
ソフトウェア定義ネットワーキングによって実現されるマイクロセグメンテーションは、ユーザーが事前定義されたサービスのみにアクセスできるようにすること、ユーザーごとに定義された一意の許可リストを持つこと、および 1 対 1 のサブジェクト/オブジェクトのアクセス パスを動的に構築するという要件を満たすことができるアーキテクチャ設計です。マイクロセグメンテーションは、アプリケーション、サービス、ユーザー、デバイスなどの詳細な基準に基づいて、ネットワークをより小さなセグメントまたはゾーンに分割する技術です。マイクロセグメンテーションにより、ネットワーク リソースに対するきめ細かいアクセス制御と分離が可能になり、ネットワーク内の不正な移動や横方向の移動を防ぐことができます。ソフトウェア デファインド ネットワークは、ネットワーク デバイスのデータ プレーンからコントロール プレーンを分離するテクノロジーで、ネットワーク機能とポリシーの集中管理とプログラム可能な管理を可能にします。ソフトウェア デファインド ネットワークでは、事前定義されたルールまたはポリシーに基づいてネットワーク セグメントまたはゾーンを動的に作成および強制することで、マイクロセグメンテーションを実現できます。モバイル アプリケーションによって実現されるピアツーピアの安全な通信は、ユーザーが事前定義されたサービスのみにアクセスできるようにすること、ユーザーごとに定義された固有の許可リストを持つこと、1 対 1 のサブジェクト/オブジェクト アクセスを構築することなどの要件を満たすことができるアーキテクチャ設計ではありません。ピアツーピアの安全な通信は、中央サーバーや仲介者に依存せずに、2 つ以上の当事者間で直接暗号化された通信を可能にする技術であるため、パスを動的に変更します。API ゲートウェイによって有効になるプロキシされたアプリケーション データ接続は、ユーザーが事前定義されたサービスのみにアクセスできるようにすること、ユーザーごとに定義された一意の許可リストを持つこと、1 対 1 のサブジェクト/オブジェクトのアクセス パスを動的に構築することなどの要件を満たすことができるアーキテクチャ設計ではありません。プロキシされたアプリケーション データ接続は、トラフィックを変更または監視できる中間デバイスまたはサービスを介して、アプリケーションまたはサービス間の間接的でフィルタリングされた通信を可能にする技術です。ネットワーク インフラストラクチャ デバイスによって有効になる VLAN (仮想ローカル エリア ネットワーク) は、ユーザーが事前定義されたサービスのみにアクセスできるようにすること、ユーザーごとに定義された固有の許可リストを持つこと、および 1 対 1 のサブジェクト/オブジェクトを構築することなどの要件を満たすことができるアーキテクチャ設計ではありません。 VLAN は、機能、部門、場所などの共通の基準に基づいてデバイスまたはユーザーをグループ化できる物理ネットワークの論理セグメントであるため、パスに動的にアクセスします。検証済みの参考文献:
https://www.comptia.org/blog/what-is-microsegmentation
https://partners.comptia.org/docs/default-source/resources/casp-content-guide

要件を満たすために、ネットワーク設計者は次のソリューションを実装する必要があります。
ハブ サイトでの DoS 保護: ネットワークが 99.99% の稼働時間でコア アプリケーションをサポートしていることを確認するには、ネットワーク アーキテクトはハブ サイトで DoS (サービス拒否) 保護を実装する必要があります。
これは、ネットワークとそのアプリケーションの可用性を妨害する可能性のある DoS 攻撃を防ぐのに役立ちます。
相互証明書認証: SD-WAN ルーターへの構成更新が管理サービスからのみ開始できるようにするには、ネットワーク設計者は相互証明書認証を実装する必要があります。これには、構成の更新を開始する前に管理サービスに有効な証明書の提示を要求することと、更新を受け入れる前に SD-WAN ルーターに有効な証明書の提示を要求することが含まれます。
クラウド プロキシ: Web サイトからダウンロードされたドキュメントでマルウェアが確実にスキャンされるように、ネットワーク アーキテクトはクラウド プロキシを実装する必要があります。クラウド プロキシは、クラウドでホストされるセキュリティ サービスで、トラフィックがネットワークに到達する前にマルウェアやその他の脅威がないか検査するために使用できます。